Release van Bubblewrap 0.11, een laag voor het creëren van geïsoleerde omgevingen.

Een nieuwe versie van de tool voor het organiseren van geïsoleerde omgevingen, Bubblewrap 0.11, is gepubliceerd. Deze wordt gebruikt voor het beperken van afzonderlijke applicaties van niet-geprivilegieerde gebruikers. In de praktijk wordt Bubblewrap door het Flatpak-project gebruikt als een laag voor de isolatie van applicaties die vanuit pakketten worden uitgevoerd. Voor isolatie worden traditionele Linux-technologieën voor containervirtualisatie toegepast, gebaseerd op het gebruik van cgroups, namespaces, Seccomp en SELinux. De code van het project is geschreven in C en wordt verspreid onder de LGPLv2+-licentie.

Isolatie op het niveau van het bestandssysteem wordt gerealiseerd door standaard het creëren van een nieuwe namespace voor mountpunten, waarin een lege root-partitie wordt aangemaakt met behulp van tmpfs. In deze partitie worden indien nodig externe bestandssysteem-partities gekoppeld in de modus 'mount --bind' (bijvoorbeeld bij uitvoering met de optie 'bwrap --ro-bind /usr /usr' wordt de partitie /usr vanuit het hoofd systeem in alleen-lezen modus doorgegeven). Netwerkfunctionaliteiten worden beperkt tot toegang tot de loopback-interface met isolatie van de netwerkstack via de vlaggen CLONE_NEWNET en CLONE_NEWUTS.

Om alle overbodige gebruikers- en procesidentificaties uit de gemaakte geïsoleerde omgeving te verwijderen, kunnen de modi CLONE_NEWUSER (user namespace) en CLONE_NEWPID (PID namespace) worden gebruikt, terwijl de modus PR_SET_NO_NEW_PRIVS wordt toegepast om het verkrijgen van nieuwe privileges te verbieden. Op systemen met 'user namespace' kan Bubblewrap worden uitgevoerd onder een gewone gebruiker, terwijl het op systemen zonder 'user namespace' kan worden gebruikt met de suid root-vlag om de noodzakelijke initialisatie van de geïsoleerde omgeving uit te voeren.

In de nieuwe release:

• De mogelijkheid om montagemappen te creëren is toegevoegd, waarin een monolaag bestandssysteem OverlayFS wordt gebruikt, dat verschillende delen van andere bestandssystemen combineert. Voor het beheer van het gebruik van OverlayFS zijn nieuwe commandoregelopties geïntroduceerd: ‘—overlay’, ‘—tmp-overlay’, ‘—ro-overlay’ en ‘—overlay-src’.
• De optie ‘—level-prefix’ is toegevoegd voor het invoegen van het prioriteitsniveau in syslog-stijl in de diagnostische output, waardoor het mogelijk is om utilities zoals ‘logger’ en ‘systemd-cat’ te gebruiken voor het verwerken van de output.
• De ondersteuning voor het bouwsysteem Autotools is stopgezet. Voor het bouwen is nu de Meson-tool vereist.

Bron: opennet.ru